کیا دو IPsec ہم منصبوں کے درمیان راؤٹر کو IPsec کی ضرورت ہے؟

ایک لیبارٹری مشق جو کہتی ہے ”دو سائٹس کے درمیان IPsec ترتیب دیں“ دو مختلف کام چھپاتی ہے۔ دونوں سرے ٹنل ختم کرتے ہیں: وہ گفت و شنید کرتے ہیں، تصدیق کرتے ہیں، انکرپٹ اور ڈکرپٹ کرتے ہیں۔ درمیان میں کوئی بھی راؤٹر ایسے پیکٹ آگے بھیجتا ہے جن کا بیرونی ہیڈر سروں کا ہوتا ہے، اور یہ کام ٹنل کے وجود سے بے خبر ہو کر کرتا ہے۔

یہ طے کرنا کہ کسی آلے سے کون سا کام مانگا جا رہا ہے، مشق کا پہلا قدم ہے۔ لیبارٹری رپورٹوں میں زیادہ تر الجھن، اور پروڈکشن خاکوں میں کافی الجھن، ”IPsec کی حمایت کرتا ہے“ کو دو کے بجائے ایک خصوصیت سمجھنے سے پیدا ہوتی ہے۔

آگے بھیجنا ختم کرنا نہیں

ٹنل موڈ میں بیرونی IP ہیڈر ٹنل ختم کرنے والے آلات سے مخاطب ہوتا ہے۔ درمیان میں موجود راؤٹر منزل تلاش کرتا ہے اور آگے بھیجتا ہے، بالکل کسی بھی دوسرے پیکٹ کی طرح، اور وہ جو پے لوڈ لے جاتا ہے اُس کے لیے مبہم ہے۔

یہ ابہام دانستہ ہے۔ راؤٹر کے پاس ساتھی کا راز نہیں ہوتا، کوئی گفت و شنید نہیں کرتا اور پالیسی ڈیٹا بیس کی ضرورت نہیں ہوتی۔ اُسے دور دراز کے سرے تک راستہ اور پیکٹ آگے بھیجنے کی اجازت درکار ہوتی ہے۔

دونوں کو خلط ملط کرنا حقیقی غلطیوں کا سبب بنتا ہے: ٹرانزٹ فائر وال سے ”IPsec کی اجازت“ مانگنا جبکہ اصل تقاضا مخصوص پتوں کے درمیان پروٹوکول 50 کی اجازت دینا ہے، یا یہ توقع کرنا کہ درمیانی آلہ معائنے کے لیے ڈکرپٹ کرے گا جبکہ اُس کے پاس کوئی کلید نہیں۔

درمیانی آلے کو پھر بھی کیا درست کرنا چاہیے

آگے بھیجنے کی اپنی شرائط ہیں۔ راستوں کو دونوں بیرونی سروں تک پہنچنا چاہیے، اور راستے کی ہر پالیسی کو اصل بیرونی ٹریفک کی اجازت دینی چاہیے نہ کہ اندازہ لگایا گیا پورٹ نمبر۔ TCP 443 کے خلاف لکھا گیا قاعدہ، کیونکہ کسی نے TLS فرض کیا، پروٹوکول 50 سے مطابقت نہیں رکھے گا۔

اصل ESP پروٹوکول IP 50 ہے۔ یہ TCP 50 نہیں اور UDP 50 نہیں، اور وہ قاعدہ جو غیر TCP ٹریفک روکتا ہے اُسے گرا دے گا۔ اگر ڈیزائن UDP انکیپسولیشن استعمال کرتا ہے تو نظر آنے والی ترسیل انکیپسولیشن پورٹ پر منتقل ہو جاتی ہے، اور پالیسی کو منتخب ڈیزائن سے مطابقت رکھنی چاہیے۔

پیکٹ کا حجم بھی اہم ہے۔ وہ راستہ جو چھوٹی جانچ لے جاتا ہے یہ ثابت نہیں کرتا کہ پورا انکیپسولیٹڈ تبادلہ اُس میں سما جاتا ہے۔ بڑے پیکٹ گرانے والا راستہ گفت و شنید کو کامیاب اور کام کے بوجھ کو ناکام چھوڑ سکتا ہے، جو ایپلیکیشن کے مسئلے جیسا لگتا ہے۔ ٹنل کو قصوروار ٹھہرانے سے پہلے اصل کام کے بوجھ کے حجم کی ٹریفک سے جانچیں۔

سمیولیٹر سوال کیوں بدلتا ہے

سمیولیٹر مختصر خصوصیات کی فہرست والا راؤٹر نہیں؛ یہ ایک ماڈل ہے جس کا دستاویزی ذیلی مجموعہ اور اپنے قواعد ہیں کہ کسی مخصوص آلے کو کیا کرنے کے لیے ترتیب دیا جا سکتا ہے۔ سسکو کے Packet Tracer کے عمومی سوالات واضح طور پر کہتے ہیں کہ آلات اور پروٹوکول آسان بنائے گئے ماڈل ہیں۔

چنانچہ سوال تین سوال بن جاتا ہے۔ کیا سمیولیٹ شدہ آلہ وہ پیکٹ آگے بھیجتا ہے جو منظرنامے کو درکار ہیں؟ کیا وہی آلہ وہ ترتیب کی سطح پیش کرتا ہے جو سبق فرض کرتا ہے؟ اور کیا قبول شدہ کمانڈ کا مطلب یہ ہے کہ رویہ واقعی سمیولیٹ ہوتا ہے یا صرف تجزیہ کیا جاتا ہے؟

غائب کمانڈ آپ کی ترتیب میں غلطی کے بجائے ماڈل کی حد ہو سکتی ہے۔ موجود کمانڈ نحو قبول کر سکتی ہے بغیر ہر پروڈکشن رویے کو دہرائے۔ کسی بھی سمت نتیجہ اخذ کرنے سے پہلے نصب شدہ ورژن کی آلہ مدد دیکھیں۔

لیبارٹری کے لیے کامیابی کی شرط لکھنا

underlay سبق کے لیے کامیابی کی شرط سروں کی رسائی اور درمیانی آلے سے گزرنے والے بیرونی پیکٹ ہیں۔ اِسے خود سمیولیٹر کے شمار کنندگان یا پیکٹ منظر سے ثابت کریں، اور اُس پروٹوکول کا نام لیں جسے آپ دیکھنے کی توقع رکھتے ہیں۔

IPsec سبق کے لیے گفت و شنید کی حالت اور LAN سے LAN تک ایک محفوظ بہاؤ شامل کریں۔ اگر سمیولیٹر سکیورٹی ایسوسی ایشنز دکھاتا ہے تو اُنہیں درج کریں۔ اگر نہیں دکھاتا تو یہ رپورٹ میں لکھیں بجائے اِس کے کہ اشارہ دیں کہ ٹنل کی تصدیق ہو گئی ہے۔

سمیولیٹر کا ورژن، منتخب آلات اور سیکھنے کا مقصد ٹوپولوجی فائل کے ساتھ رکھیں۔ یہی ریکارڈ کسی دوسرے کو مشق دہرانے اور یہ سمجھنے کی اجازت دیتا ہے کہ کون سے حصے ماڈل کیے گئے۔

پروڈکشن ترتیب کو اپنے پلیٹ فارم کے شواہد درکار ہیں۔ سبز سمیولیٹ شدہ پیکٹ تدریسی نتیجہ ہے، نہ کہ اُس ہارڈ ویئر کے بارے میں مطابقت کا بیان جو آپ تعینات کریں گے۔